Temat: Audyt bezpieczeństwa IT

Zbigniew Dorcz:
gdy mialem firme zajmujaca sie bezpieczenstwem teleinf. (teraz jest zawieszona), przeprowadzalem testy wiekszosci firm tu podanych (to byly delikatne testy, na ktore niejest wymagane zezwolenie danej firmy, np. analiza kodow zrodlowych strony itp. ) i szczerze powiedziawszy prawie wszystkie firmy jakie podajecie niby zajmuja sie bezpieczenstwem, ale niemaja zielonego pojecia o tym. jesli ktos uwarza ze maja duze pojecie to niech mi odpowie na pytanie. dlaczego firma ktora zajmuje sie bezpieczenstwem ma stronke ktora jest podatna chociarz by na SQL Injection ? ;) kazdemu mozna rozne rzeczy wmowic ale kodu zrodlowy mowi sam za siebie :)

Ja bym chciał zobaczyć ten SQL Injection. Jak po analizie kodu html doszedł pan do tych wniosków? Może jest pan jak pan Paweł Jabłoński? Potrafi się pan także włamać do komputera niepodłączonego do sieci?

Jak bez analizy opragromowania np. programem OWASP i bez analizy kodu za pomocą np. testów przygotowanych w aplikacjach Jenkins lub Selenium pan stwierdził podatność strony na atak SQL injection?

Czy strona była uruchomiona na serwerze z PHP, dot.net Framework czy apache tomcat? Czasami czytając pseudospecjalistów od bezpieczeństwa czasami się tarzam ze śmiechu po podłodze.

Panie Zbyszku, niech pan nie myli audytu teleinformatycznego z testem penetracyjnym. Audyt ma tylko wykazać lub potwierdzić zgodność z normami. Test penetracyjny służy czemuś innemu. Firmy nie lubią testów penetracyjnych, bo wiedzą że wszystko jest do luftu. Lubią jednak audyty, bo mogą się poprawić zdobytymi normami. Tak sytuacja wygląda w Polsce, na zadupiu informatycznym.

Ale i tak między audytem a testem jest ogromna różnica. Jeśli chodzi o audyt polecam specjalistów z Polskiego Towarzystwa Informatycznego. Naprawdę nie boją się być szczerzy. Mogą stwierdzić że jest pan gotowy na audyt lub odradzić, w przypadku kiedy pan nie jest po prostu jeszcze na to gotowy. Z kim się kontaktować etcetc, szczegóły na priw.Adrian Stolarski edytował(a) ten post dnia 18.04.12 o godzinie 13:36

Temat: Audyt bezpieczeństwa IT

Adrian Stolarski:

Zbigniew Dorcz:
gdy mialem firme zajmujaca sie bezpieczenstwem teleinf. (teraz jest zawieszona), przeprowadzalem testy wiekszosci firm tu podanych (to byly delikatne testy, na ktore niejest wymagane zezwolenie danej firmy, np. analiza kodow zrodlowych strony itp. ) i szczerze powiedziawszy prawie wszystkie firmy jakie podajecie niby zajmuja sie bezpieczenstwem, ale niemaja zielonego pojecia o tym. jesli ktos uwarza ze maja duze pojecie to niech mi odpowie na pytanie. dlaczego firma ktora zajmuje sie bezpieczenstwem ma stronke ktora jest podatna chociarz by na SQL Injection ? ;) kazdemu mozna rozne rzeczy wmowic ale kodu zrodlowy mowi sam za siebie :)

Co do testów na podatność SQLInjection tutaj ma pan zestawione narzędzia:

Rank Vulnerability Scanner Vendor Detection Rate Input Vector Coverage Average Score
1Arachni

Tasos Laskos

100.00% 100% 100.00%
2Sqlmap

sqlmap developers

97.06% 100% 98,53%
3IBM AppScan

IBM Security Sys Division

93.38% 100% 96,69%
4Acunetix WVS

Acunetix

89.71% 100% 94,85%
5NTOSpider

NT OBJECTives

85.29% 100% 92,64%
6Nessus

Tenable Network Security

82.35% 100% 91,17%
7WebInspect

HP Apps Security Center

75.74% 100% 87,87%
8Burp Suite Pro

PortSwigger

72.06% 100% 86,03%
9Cenzic Pro

Cenzic

63.24% 100% 81,62%
10SkipFish

Michal Zalewski – Google

50.74% 100% 75,37%
11Wapiti

OWASP

100.00% 50% 75.00%
12Netsparker

Mavituna Security

98.00% 50% 74.00%
13Paros Pro

MileSCAN Technologies

93.38% 50% 71,69%
14ZAP

OWASP

77,21% 50% 63,60%

Tylko nie chciało mi się już robić tabelki.